Über viele Änderungen, die sich aufgrund der neuen Datenschutzgrundverordnung (DS-GVO) ab dem 25. Mai 2018 für Unternehmen ergeben, haben wir an dieser Stelle bereits informiert. Im vorletzten Teil dieses Überblickes soll auf weitere Änderung eingegangen werden, die sich für Unternehmen ergeben, die gewerbsmäßig personenbezogene Daten verarbeiten. Eine dieser Änderung betrifft die Auftragsdatenverarbeitung. Hier ändert sich zunächst die Begrifflichkeit, es heißt nunmehr nur noch Auftragsverarbeiter. Auch die DS-GVO kennt die Auftragsverarbeitung, es sind nach wie vor technische und organisatorische Maßnahmen (TOMs) zu treffen, um den Schutz und die Sicherheit der personenbezogenen Daten zu gewährleisten. Der Katalog wurde jedoch verdichtet, das Gebot der Pseudonymisierung kam neu hinzu. Inhaltlich bleiben die TOMs dem Grunde nach allerdings bestehen. Auch die Haftung des Auftragsverarbeiters wird mit der DS-GVO verschärft. Bisher lag die Verantwortlichkeit für die Verarbeitung ausschließlich bei der erhebenden Stelle. Durch die DS-GVO wird der Auftragnehmer für die Verarbeitung der Daten mitverantwortlich. An zahlreichen Stellen finden sich selbständige Pflichten für den Auftragsverarbeiter, so z.B. die Pflicht, ein Verfahrensverzeichnis zu führen, oder die Pflicht, einen Datenschutzbeauftragten zu bestellen. Auch die DS-GVO kennt noch die besonderen Kategorien personenbezogener Daten und stellt diese unter einen besonderen Schutz. Dabei hat sich an der Art der Daten, die in diese Kategorie fallen, nichts geändert. Eine Verarbeitung dieser Daten ist nach wie vor nur aufgrund einer Einwilligung möglich. Neu ist jedoch, dass Gesundheitsdaten nunmehr legal definiert wurden. Der Begriff ist weit zu verstehen und umfasst alle Informationen über den körperlichen Zustand von ärztlichen Untersuchungen bis hin zu Messungen aus dem Fitnessbereich.